Double opt-in : ce que la loi exige et ce que les outils en font
Presque tous les articles affirment que le RGPD impose le double opt-in. C'est faux, et la nuance compte davantage en pratique qu'il n'y paraît.
Le terme double opt-in ne figure pas dans le texte du RGPD. Ni à l'article 6, ni à l'article 7, nulle part. Vous lirez pourtant dans presque tous les guides que le règlement impose la procédure de double confirmation.
Cela ne rend pas la méthode inutile, cela déplace seulement la justification. Le RGPD exige que vous puissiez prouver le consentement. Les règles européennes sur la prospection électronique exigent que ce consentement existe avant le premier envoi. Le double opt-in est la méthode qui rend les deux démontrables le jour où quelqu'un demande.
Qui saisit la nuance évalue les outils autrement. La question n'est plus de savoir si une extension propose le double opt-in, mais ce qui se retrouve dans le registre et si vous pouvez le récupérer. Cet article sépare trois plans : le texte de loi, la pratique qui en est sortie et les endroits où un outil promet une sécurité qu'il ne peut techniquement pas fournir.
Ce que le RGPD demande réellement
Pour une inscription à une newsletter, trois dispositions comptent.
- Art. 6, par. 1, point a) : le consentement est l'une des bases légales sur lesquelles vous pouvez fonder un traitement.
- Art. 7 : conditions applicables au consentement. La phrase la plus lourde de conséquences se trouve au paragraphe 1 : le responsable du traitement doit être en mesure de démontrer que la personne concernée a consenti.
- Art. 5, par. 2 : responsabilité. Respecter les principes ne suffit pas, il faut aussi pouvoir démontrer ce respect.
Rien de plus. Aucune règle sur une procédure de confirmation, aucun lien dans un second message, aucun délai. Le règlement décrit un résultat : une manifestation de volonté libre, éclairée et univoque que vous pouvez produire en cas de doute. Comment vous y arrivez vous regarde.
Pourquoi un simple opt-in tient rarement
Avec une inscription simple, vous avez une adresse en base et un horodatage. Ce que vous n'avez pas, c'est la preuve que la personne derrière cette adresse a rempli le formulaire. N'importe qui peut saisir l'adresse d'un autre, par erreur ou volontairement. En cas de litige, votre version s'oppose à celle du destinataire, et la charge de la preuve vous revient. Le clic de confirmation comble exactement cette faille : il montre qu'une personne ayant accès à la boîte a dit oui.
La règle qui encadre vraiment la prospection par courriel
Le droit des données n'est que la moitié du tableau. La prospection par courrier électronique en Europe relève aussi de la directive ePrivacy. Son article 13 pose le principe : la prospection directe par courrier électronique suppose le consentement préalable du destinataire. Une directive se transpose, chaque État membre a donc écrit sa propre loi autour, avec une exception étroite pour les adresses recueillies auprès de ses propres clients. La transposition nationale diffère d'un État à l'autre, vérifiez la règle du pays vers lequel vous envoyez.
L'Allemagne est l'exemple à connaître, parce qu'elle est stricte et parce que la sanction coûte peu à celui qui l'engage. Le § 7, al. 2 de l'UWG, la loi allemande contre la concurrence déloyale, qualifie la publicité par voie électronique sans consentement exprès préalable de nuisance inacceptable, donc d'illicite. C'est du droit de la concurrence : ce sont les concurrents et les associations qui l'appliquent par mise en demeure, sans intervention d'une autorité de contrôle. Un seul message au mauvais destinataire peut suffire. À retenir : ce paragraphe est du droit allemand, pas une règle européenne, et il ne se transpose pas tel quel ailleurs.
C'est pourquoi la peur répandue des amendes RGPD sur une newsletter vise un peu à côté. Je ne connais pas d'amende documentée qui aurait tenu à la seule absence d'une étape de confirmation. L'ennui arrive en général par une plainte pour prospection non consentie, et là une seule question compte : pouvez-vous produire le consentement ?
Une note là où elle sert : ceci est un éclairage pratique et non un conseil juridique. Si vous écrivez dans plusieurs pays ou si vous voulez réactiver une ancienne liste, le dossier revient à une personne compétente qui connaît vos pièces et vos juridictions.
Planet49 et la case précochée
Un arrêt a durablement changé le débat sur le consentement. La Cour de justice de l'Union européenne a jugé le 1er octobre 2019, dans l'affaire C-673/17 (Planet49), qu'une case déjà cochée ne constitue pas un consentement valable. L'accord suppose un acte positif de la personne concernée.
Pour votre formulaire, la conséquence est simple : aucune case n'est cochée d'avance. Cela vaut pour la case newsletter comme pour tout autre consentement que vous recueillez au même endroit.
Ce qu'un registre doit contenir pour tenir
Un double opt-in sans registre est une procédure sans preuve. Le clic de confirmation ne vous sert deux ans plus tard que si vous pouvez le produire. Voici ce qui en fait partie.
| Donnée dans le registre | Ce qu'elle sert à prouver en cas de litige |
|---|---|
| Moment de l'inscription | Montre quand le formulaire a été envoyé |
| Moment de la confirmation | Atteste la seconde étape et l'écart avec la première |
| Adresse IP utilisée | Rattache l'inscription à un accès internet |
| Libellé du consentement au moment de l'inscription | Montre à quoi la personne a consenti à l'époque, pas ce qu'elle accepterait aujourd'hui |
| La version du formulaire | Montre ce qui figurait à côté de la case et quels champs étaient obligatoires |
| Le message de confirmation lui-même | Montre ce que le destinataire a reçu et ce qui n'y figurait pas |
La quatrième ligne est celle où la plupart des systèmes échouent. Le texte à côté de la case, vous le modifiez plusieurs fois au fil des ans. Un registre qui renvoie seulement à la version en cours atteste le mauvais libellé pour une inscription de 2023. Ce qui sert, c'est un versionnement qui conserve le texte de l'époque et le relie à l'entrée.
Trois erreurs qui rendent la preuve sans valeur
De la publicité dans le message de confirmation
Le message de confirmation a une seule tâche : demander la confirmation. Dès qu'il contient une offre, un code de réduction ou une image de produit, vous avez envoyé un message publicitaire à quelqu'un qui n'a pas encore consenti.
Savoir si ce message est déjà en soi une publicité illicite est apprécié différemment selon les auteurs. La pratique dominante le tient pour admissible tant qu'il se borne à demander la confirmation, et certaines voix sont plus strictes. Le débat n'est pas tranché, et je ne le tranche pas ici. Pour le quotidien, une règle simple en sort : plus le message est sec, plus la surface d'attaque est petite.
Lier le consentement à autre chose
La deuxième erreur est le couplage. Le livre blanc n'est accessible qu'avec l'inscription à la newsletter, ou la commande ne passe pas si la case n'est pas cochée. Un consentement doit être libre, et la liberté est difficile à soutenir quand sans elle le téléchargement ne démarre pas.
Séparez les deux opérations. Le livre blanc arrive après le formulaire, la case newsletter se tient à côté et reste facultative. Celui qui confirme ensuite de son plein gré est de toute façon un meilleur destinataire, parce qu'il ouvrira le message plus tard.
Le registre reste chez le prestataire
La troisième erreur n'apparaît qu'au moment du départ. Votre preuve est dans la base d'un prestataire. Tant que vous êtes client chez lui, tout va bien. Au déménagement, vous exportez les adresses et le registre reste sur place, parce que l'export emporte l'adresse, le nom et quelques champs, et pas le reste. Vous vous retrouvez avec une liste pour laquelle vous ne pouvez rien démontrer.
Demandez donc avant de décider : le registre de consentement complet peut-il être exporté, avec les deux horodatages, l'IP et le libellé ? La réponse trie les outils plus vite que n'importe quelle liste de fonctions.
Là où les outils promettent une sécurité qu'ils n'ont pas
Le label « conforme au RGPD » sur une page produit est une affirmation sur un outil, pas sur votre site. Aucune extension et aucun service ne peut vous livrer la conformité, parce qu'elle dépend de ce que vous écrivez dans votre formulaire, de ce que vous envoyez et de la façon dont vous traitez les demandes. Ce qu'un outil peut apporter est étroitement délimité :
- une procédure de confirmation qui n'active aucune adresse sans clic sur le lien
- un registre qui consigne les données citées plus haut et s'exporte intégralement
- une désinscription en un clic, avec List-Unsubscribe selon la RFC 8058, pour que les logiciels de messagerie affichent eux-mêmes le bouton
- des outils d'accès et d'effacement, pour répondre à une demande sans fouiller la base
Tout le reste est du marketing.
Chez Kurato, ces quatre points sont dans la version gratuite : double opt-in, registre de consentement, désinscription en un clic selon la RFC 8058 et les outils RGPD pour l'accès et l'effacement. Le registre se trouve dans la base de votre propre installation WordPress et s'exporte. Si vous passez demain à autre chose, la preuve part avec vous. Ce qui manque encore a sa place ici aussi : les séquences, les segments avec OU et la synchronisation d'agenda restent à venir.
Si l'inscription passe par un formulaire de votre site, Leadlotse embarque aussi le double opt-in, avec honeypot, piège temporel et limite de fréquence contre les inscriptions automatiques. C'est la deuxième raison de prendre le chemin d'inscription au sérieux : les robots saisissent des adresses qui ne leur appartiennent pas, et chacune devient un message de confirmation adressé à quelqu'un qui n'a rien demandé. Comment protéger ces formulaires sans exclure des visiteurs par une énigme, c'est l'objet de l'article captcha et accessibilité. Les deux extensions restent utilisables durablement en version Free, et le prix des niveaux Pro figure sur la page tarifs.
Une newsletter dont la preuve reste dans votre base
Kurato apporte le double opt-in, le registre de consentement et la désinscription en un clic selon la RFC 8058 dans la version gratuite. L'envoi passe par le prestataire que vous choisissez.
Questions fréquentes
Le RGPD impose-t-il le double opt-in ?
Non. Le terme ne figure pas dans le texte du règlement. Le RGPD exige à l'art. 7 que le responsable du traitement puisse démontrer le consentement, et à l'art. 5, par. 2 la responsabilité. Le double opt-in est la méthode qui rend cette démonstration possible en pratique.
Un simple opt-in suffit-il pour la newsletter ?
Ce n'est pas expressément interdit, mais la preuve que la personne derrière l'adresse a consenti elle-même vous manque. Les lois nationales issues de l'article 13 de la directive ePrivacy exigent un consentement préalable pour la prospection par courriel, et l'Allemagne va plus loin avec son § 7, al. 2 de l'UWG. La charge de la preuve vous revient. Ceci est un éclairage et non un conseil juridique.
Le message de confirmation peut-il contenir de la publicité ?
Il devrait seulement demander la confirmation. Savoir s'il constitue déjà une publicité illicite est apprécié différemment : la pratique dominante le tient pour admissible tant qu'il ne contient rien d'autre. Codes de réduction, offres et images de produit n'y ont pas leur place.
Combien de temps faut-il conserver le registre de consentement ?
Tant que vous vous appuyez sur ce consentement, vous avez besoin de la preuve. Après une désinscription, la période qui compte est celle pendant laquelle des demandes peuvent encore être formées. Le RGPD ne fixe pas de durée précise, c'est un point à voir au cas par cas.
Que devient la preuve si je change de prestataire ?
Cela dépend de l'export. Beaucoup de services livrent les adresses et les champs, mais pas le registre complet avec horodatages, IP et libellé. Posez la question avant la migration. Chez Kurato, le registre se trouve dans votre propre base et s'exporte.
